Cisco a confirmé l’exploitation active de CVE-2026-76460, une vulnérabilité notée 10,0 sur 10 dans son échelle CVSS et touchant Cisco Identity Services Engine (ISE), la solution de contrôle d’accès réseau utilisée par de nombreuses entreprises pour authentifier postes et utilisateurs. Un correctif est disponible pour toutes les versions prises en charge et doit être appliqué sans délai.
CVE-2026-76460 : une faille critique dans Cisco ISE #
Selon l’avis de sécurité CERT-FR, relayant l’alerte de Cisco, CVE-2026-76460 provient d’un défaut de contrôle d’authentification sur un point d’accès (endpoint) de l’API d’administration d’ISE. Un attaquant distant, sans compte ni identifiant valide, peut contourner l’authentification et atteindre l’interface de gestion. Le score CVSS maximal de 10,0 s’explique par la combinaison d’un accès distant, d’une absence totale d’authentification requise et d’un impact allant jusqu’à l’exécution de commandes avec les privilèges root sur l’appliance.
À retenir : une exploitation réussie donne à l’attaquant un contrôle total du serveur ISE, y compris la possibilité d’effacer les journaux pour masquer l’intrusion.
Quels produits et versions sont concernés ? #
La vulnérabilité touche Cisco Identity Services Engine (ISE) ainsi que Cisco ISE Passive Identity Connector (ISE-PIC), quel que soit le mode de déploiement (matériel, machine virtuelle ou cloud). Cisco a publié des correctifs pour chaque branche encore maintenue :
| Version ISE / ISE-PIC | Correctif |
|---|---|
| 3.1 | Patch 12 |
| 3.2 | Patch 11 |
| 3.3 | Patch 12 |
| 3.4 | Patch 7 |
| 3.51 | Patch 4 |
Les versions antérieures à ces branches, déjà en fin de support, ne recevront pas de correctif : elles doivent être considérées comme exposées et migrées en priorité.
Comment l’authentification est-elle contournée ? #
D’après les éléments publiés, le point d’API concerné ne vérifie pas correctement les jetons ou identifiants présentés par le client avant d’accorder l’accès à des fonctions d’administration. Ce type de défaut, classé contournement d’authentification, ne nécessite ni hameçonnage ni interaction utilisateur : il suffit que l’interface de gestion d’ISE soit joignable depuis le réseau de l’attaquant. C’est précisément ce qui rend le correctif urgent pour toute appliance exposée sur un réseau étendu ou insuffisamment cloisonnée.
Une exploitation active confirmée par Cisco et la CISA #
Cisco indique être « conscient d’une exploitation active » de CVE-2026-76460. L’agence américaine CISA a inscrit la faille à son catalogue des vulnérabilités connues pour être exploitées (Known Exploited Vulnerabilities) le 16 septembre 2026, avec une échéance de correction fixée au 19 septembre 2026 pour les agences fédérales américaines, un délai qui traduit la gravité perçue de la menace. La même semaine, Cisco a également corrigé une vulnérabilité distincte, CVE-2026-76461, affectant Secure Email Gateway et permettant elle aussi l’exécution de commandes en tant que root ; plusieurs éditeurs spécialisés la décrivent comme activement exploitée. Les deux failles ne sont pas liées techniquement, mais leur proximité dans le temps illustre la pression actuelle sur les équipements Cisco exposés à internet.
Que faire ? Corriger et limiter l’exposition #
La priorité absolue est la mise à jour vers l’une des versions corrigées listées ci-dessus. Cisco précise qu’il n’existe pas de mesure de contournement alternative : seule l’application du correctif élimine réellement le risque. Si une mise à jour immédiate est impossible, les mesures suivantes réduisent temporairement l’exposition :
- Restreindre, via des listes de contrôle d’accès (ACL) sur les équipements réseau en amont, l’accès aux interfaces de gestion et au plan de contrôle d’ISE aux seules adresses d’administration légitimes.
- Vérifier qu’aucune interface d’administration d’ISE n’est directement joignable depuis internet.
- Planifier la mise à jour des versions en fin de support (antérieures à 3.1), qui ne recevront pas de correctif.
À retenir : en l’absence de correctif alternatif, une ACL réseau bien conçue est la seule mesure compensatoire tant que la mise à jour n’est pas déployée.
Détecter une tentative d’exploitation #
Cisco recommande d’examiner les journaux d’accès de l’appliance à la recherche de comptes ou de motifs inhabituels. La commande suivante, exécutée depuis l’interface d’administration, permet de repérer un indicateur connu de tentative d’exploitation :
show logging application ise-kong/access.log | include dummyuser
Toute occurrence de ce type de motif doit déclencher une investigation immédiate : isolement de l’appliance, analyse des journaux d’authentification et de configuration, et recherche de comptes ou de règles créés après la date suspectée de compromission. Les équipes qui exploitent un SIEM ont intérêt à corréler ces journaux avec les indicateurs de compromission (IOC) publiés par Cisco et à documenter la chronologie des événements, une démarche détaillée dans notre article sur les IOC et IOA. Pour prioriser cette correction parmi d’autres vulnérabilités en attente, l’outil calculateur de score CVSS et la base CVE de ForenShield aident à comparer rapidement la criticité de plusieurs failles.
Cette faille rappelle également l’intérêt de bien comprendre la lecture d’un score CVSS avant de prioriser un correctif : notre guide sur la manière de comprendre le score CVSS détaille le calcul et les facteurs qui expliquent pourquoi certaines failles, comme celle-ci, atteignent le score maximal. Elle s’inscrit aussi dans une tendance déjà observée avec d’autres équipements exposés en périphérie de réseau, comme le montrait notre analyse du correctif MikroTik RouterOS.
Points clés #
- CVE-2026-76460 est une faille critique (CVSS 10,0) de Cisco ISE et ISE-PIC, activement exploitée selon Cisco et la CISA.
- Elle permet à un attaquant distant, sans identifiants, d’accéder à l’interface d’administration et d’exécuter des commandes en tant que root.
- Les correctifs sont disponibles pour les branches 3.1, 3.2, 3.3, 3.4 et 3.51 ; les versions antérieures ne seront pas corrigées.
- À défaut de mise à jour immédiate, restreignez l’accès réseau à l’interface de gestion d’ISE par des ACL.
- Surveillez les journaux d’accès (
ise-kong/access.log) pour détecter une éventuelle exploitation déjà survenue.